ലിനക്സ് കെർണൽ തലത്തിൽ കോഡ് എക്സിക്യൂഷൻ അനുവദിക്കുന്ന eBPF സബ്സിസ്റ്റത്തിലെ കേടുപാടുകൾ

eBPF സബ്സിസ്റ്റത്തിൽ ഒരു ദുർബലത (CVE-2021-4204) തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, ഇത് JIT ഉള്ള ഒരു പ്രത്യേക വെർച്വൽ മെഷീനിൽ ലിനക്സ് കേർണലിനുള്ളിൽ ഹാൻഡ്‌ലറുകൾ പ്രവർത്തിപ്പിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു, ഇത് ഒരു പ്രാദേശിക അൺപ്രിവിലേജ്ഡ് ഉപയോക്താവിനെ പ്രിവിലേജ് വർദ്ധിപ്പിക്കാനും അവരുടെ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാനും അനുവദിക്കുന്നു. ലിനക്സ് കേർണൽ ലെവൽ. ലിനക്സ് കേർണൽ 5.8 മുതൽ പ്രശ്നം ദൃശ്യമാകുകയും പരിഹരിക്കപ്പെടാതെ തുടരുകയും ചെയ്യുന്നു (റിലീസ് 5.16 ഉൾപ്പെടെ). വിതരണങ്ങളിലെ പ്രശ്‌നം പരിഹരിക്കുന്നതിനായി സൃഷ്‌ടിക്കുന്ന അപ്‌ഡേറ്റുകളുടെ നില ഈ പേജുകളിൽ ട്രാക്ക് ചെയ്യാൻ കഴിയും: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. ഒരു പ്രവർത്തന ചൂഷണം സൃഷ്ടിച്ചതായി പ്രഖ്യാപിച്ചു, അത് ജനുവരി 18-ന് പ്രസിദ്ധീകരിക്കാൻ പദ്ധതിയിട്ടിരിക്കുന്നു (പരാധീനത പരിഹരിക്കാൻ ഉപയോക്താക്കൾക്കും ഡവലപ്പർമാർക്കും ഒരാഴ്ച സമയം നൽകിയിട്ടുണ്ട്).

നിർവ്വഹണത്തിനായി കൈമാറ്റം ചെയ്യപ്പെടുന്ന eBPF പ്രോഗ്രാമുകളുടെ തെറ്റായ പരിശോധനയാണ് അപകടത്തിന് കാരണം. eBPF സബ്സിസ്റ്റം ഓക്സിലറി ഫംഗ്ഷനുകൾ നൽകുന്നു, ഇതിന്റെ ശരിയായ ഉപയോഗം ഒരു പ്രത്യേക വെരിഫയർ പരിശോധിച്ചുറപ്പിക്കുന്നു. ചില ഫംഗ്‌ഷനുകൾക്ക് ഒരു ആർഗ്യുമെന്റായി PTR_TO_MEM മൂല്യം നൽകേണ്ടതുണ്ട്, കൂടാതെ സാധ്യമായ ബഫർ ഓവർഫ്ലോകൾ തടയുന്നതിന്, ആർഗ്യുമെന്റുമായി ബന്ധപ്പെട്ട മെമ്മറിയുടെ വലുപ്പം വെരിഫയർ അറിഞ്ഞിരിക്കണം. bpf_ringbuf_submit, bpf_ringbuf_discard ഫംഗ്‌ഷനുകൾക്കായി, ട്രാൻസ്ഫർ ചെയ്‌ത മെമ്മറിയുടെ വലുപ്പത്തെക്കുറിച്ചുള്ള ഡാറ്റ വെരിഫയറിലേക്ക് റിപ്പോർട്ട് ചെയ്‌തിട്ടില്ല, ഇത് പ്രത്യേകം രൂപകൽപ്പന ചെയ്‌ത eBPF കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യുമ്പോൾ ബഫർ അതിർത്തിക്കപ്പുറത്തുള്ള മെമ്മറി ഏരിയകൾ തിരുത്തിയെഴുതാൻ ഉപയോഗിക്കാം.

ഒരു ആക്രമണം നടത്താൻ, ഉപയോക്താവിന് സ്വന്തം BPF പ്രോഗ്രാം ലോഡുചെയ്യാൻ കഴിയണം, കൂടാതെ അടുത്തിടെയുള്ള പല ലിനക്സ് വിതരണങ്ങളും ഈ കഴിവിനെ ഡിഫോൾട്ടായി തടയുന്നു (ഇബിപിഎഫിലേക്കുള്ള അൺപ്രിവിലേജ് ആക്സസ് ഉൾപ്പെടെ, കേർണലിൽ തന്നെ ഡിഫോൾട്ടായി നിരോധിച്ചിരിക്കുന്നു, റിലീസ് 5.16 മുതൽ). ഉദാഹരണത്തിന്, Ubuntu 20.04 LTS-ലെ ഡിഫോൾട്ട് കോൺഫിഗറേഷനിൽ ഈ അപകടസാധ്യത പ്രയോജനപ്പെടുത്താം, എന്നാൽ പരിതസ്ഥിതികളിൽ Ubuntu 22.04-dev, Debian 11, openSUSE 15.3, RHEL 8.5, SUSE 15-SP4, ഫെഡോറ 33-ൽ സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ മാത്രമേ ഫെഡോറ ദൃശ്യമാകൂ. kernel.unprivileged_bpf_disabled പരാമീറ്റർ 0 ലേക്ക്. അപകടസാധ്യത തടയുന്നതിനുള്ള ഒരു പരിഹാരമെന്ന നിലയിൽ, “sysctl -w kernel.unprivileged_bpf_disabled=1” എന്ന കമാൻഡ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താക്കൾ BPF പ്രോഗ്രാമുകൾ നടപ്പിലാക്കുന്നത് തടയാം.

അവലംബം: opennet.ru